Caspio

Was Caspio ist

Caspio ist eine in den USA ansässige Low Code Plattform, mit der Organisationen Onlinedatenbanken und Anwendungen erstellen können, ohne viel Code zu schreiben. Die zentralen Bausteine sind DataPages, einbettbare Komponenten, die Daten anzeigen und Formulareingaben erfassen, sowie Flex apps, die diese Funktionen zu vollständigen Anwendungen bündeln. Websitebetreiber binden die DataPages von Caspio in der Regel in ihre eigenen Websites ein, wo sie Informationen von Endnutzern erfassen und anzeigen. Da Formulare häufig Kontaktdaten, Kontodaten und mitunter sensible Informationen sammeln, fällt Caspio voll in den Anwendungsbereich des Datenschutzrechts, sobald es mit europäischen Besuchern genutzt wird.

Welche Daten und Cookies erfasst werden

Caspio setzt Cookies, die authentifizierte Sitzungen absichern und den Betrieb der DataPages unterstützen. Authentifizierte DataPages und extern bereitgestellte Flex apps benötigen Drittanbietercookies, sodass Anmeldungen und gefilterte Ansichten ausfallen können, wenn die websiteübergreifende Trackingverhinderung sie blockiert. Über Cookies hinaus erfolgt die wichtigste Verarbeitung durch die Formulardaten, die Besucher übermitteln, darunter Namen, E-Mail-Adressen, Kennungen und je nach Anwendung besondere Datenkategorien. Die Kombination aus Sitzungscookies und umfangreichen Formulareingaben führt dazu, dass Caspio oft erhebliche Mengen personenbezogener Daten im Auftrag des Websitebetreibers verarbeitet.

DSGVO und ePrivacy Folgen

Nach Art. 5 Abs. 3 der ePrivacy-Richtlinie erfordert das Speichern oder Auslesen jedes Cookies, das nicht unbedingt erforderlich ist, eine vorherige Einwilligung. Sitzungs- und Sicherheitscookies, die an eine vom Nutzer aktiv angeforderte Anmeldung gebunden sind, können oft als notwendig gelten, doch jedes Analyse- oder Komfortcookie benötigt eine Einwilligung. Die Verarbeitung der in Formularen enthaltenen personenbezogenen Daten muss auf einer gültigen Rechtsgrundlage nach Art. 6 Abs. 1 DSGVO beruhen, und der Websitebetreiber bleibt der für Transparenz und Betroffenenrechte verantwortliche Verantwortliche. Caspio handelt in der Regel als Auftragsverarbeiter, was einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO erforderlich macht.

Anforderungen an die Einwilligung

Die Einwilligung muss eingeholt werden, bevor ein nicht notwendiges Cookie gesetzt wird, sodass das Einwilligungsbanner solche Cookies blockieren sollte, bis der Besucher aktiv zugestimmt hat. Werden Formulardaten zu Zwecken erhoben, die über die Vertragserfüllung hinausgehen, etwa für Marketingnachfassaktionen, sollte auch dafür eine klare und gesonderte Einwilligung eingeholt werden. Die Anfrage muss spezifisch, informiert und ebenso leicht widerrufbar wie erteilbar sein. Vorangekreuzte Kästchen und stillschweigende Einwilligung erfüllen den Standard der DSGVO nicht.

Internationale Datenübermittlungen

In den Standardeditionen werden über Caspio übermittelte Daten in AWS-Rechenzentren in den USA verarbeitet, die nach der DSGVO ein Drittland sind. Caspio stützt sich für diese Übermittlungen auf das Datenschutzrahmenwerk EU USA und auf die Standardvertragsklauseln, und eine Transferfolgenabschätzung sollte bestätigen, dass die Garantien angemessen sind. Organisationen, die eine Drittlandübermittlung vollständig vermeiden möchten, können die EU Compliance Edition nutzen, die Daten in AWS-Rechenzentren in Irland und Deutschland hält. Die Wahl der europäischen Edition ist der sauberste Weg, europäische personenbezogene Daten innerhalb des EWR zu halten.

Praktische Schritte zur Konformität

Beginnen Sie damit, jede DataPage, die von ihr erfassten Daten und die gesetzten Cookies zu erfassen, und schließen Sie dann einen Auftragsverarbeitungsvertrag mit Caspio. Richten Sie ein Einwilligungsbanner ein, das nicht notwendige Cookies bis zur Zustimmung blockiert, und dokumentieren Sie die Rechtsgrundlage für jedes Formular. Prüfen Sie, ob die EU Compliance Edition geeignet ist, um die US Übermittlung zu entfernen, und halten Sie bei Beibehaltung der Standardedition das Datenschutzrahmenwerk und die Standardvertragsklauseln in Ihrer Transferdokumentation fest. Aktualisieren Sie schließlich Ihre Datenschutzerklärung und Ihre Cookierichtlinie, um Caspio zu nennen, die Datenflüsse zu beschreiben und zu erläutern, wie Besucher ihre Rechte ausüben können.